Thunderbird 10.x < 10.0.12 複数の脆弱性(Mac OS X)

critical Nessus プラグイン ID 63546
New! プラグインの深刻度には CVSS v3 が適用されるようになりました。

プラグインの深刻度は、デフォルトで CVSS v3 を使って計算されるように更新されました。プラグインに CVSS v3 スコアがない場合には、CVSS v2 を使って深刻度が計算されます。深刻度の表示設定は、[設定]のドロップダウンで切り替えができます。

概要

リモート Mac OS X ホストに含まれているメールクライアントは、いくつかの脆弱性による影響を受けます。

説明

Thunderbird バージョン 10.x がインストールされている場合、次のセキュリティの問題による影響を受けます。

- 2 つの中間証明書が、 TURKTRUST 認証局により間違って発行されていました。(CVE-2013-0743)

- 列や列のグループの数が大きい HTML テーブルの表示に関連して、 use-after-free エラーが存在します。
(CVE-2013-0744)

- 「jsval」、「quickstubs」、コンパートメントの不一致に関連するエラーが存在します。これにより、クラッシュが引き起こされ、悪用される可能性があります。(CVE-2013-0746)

- XBL オブジェクトの「toString」メソッドに関連するエラーが存在し、これによりアドレス情報の漏洩が発生する可能性があります。
(CVE-2013-0748)

- JavaScript 文字列の連結に関連して、バッファオーバーフローが存在します。(CVE-2013-0750)

- 「XMLSerializer」および「serializeToStream」に関連する use-after-free エラーが存在します。
(CVE-2013-0753)

- ガーベッジコレクションおよび「ListenManager」に関連する use-after-free エラーが存在します。(CVE-2013-0754)

- SVG 要素およびプラグインに関連するエラーにより、権限が昇格される可能性があります。(CVE-2013-0758)

- アドレスバーに関連するエラーが存在し、これにより URL なりすまし攻撃が引き起こされる可能性があります。(CVE-2013-0759)

- 複数の特定されない use-after-free、境界外の読み取り、バッファオーバーフローのエラーが存在します。(CVE-2013-0762、 CVE-2013-0766、CVE-2013-0767)

- 特定されないメモリ破損の問題が存在します。
(CVE-2013-0769)

2013 年 2 月 13 日の時点で、10.x ESR ブランチがサポートされていないことに注意してください。この日付以降、セキュリティ更新を受け取れるのは、 17.x ESR ブランチだけです。

ソリューション

Thunderbird 10.0.12 ESR 以降にアップグレードしてください。

関連情報

http://www.zerodayinitiative.com/advisories/ZDI-13-003/

http://www.zerodayinitiative.com/advisories/ZDI-13-006/

http://www.zerodayinitiative.com/advisories/ZDI-13-039/

https://www.mozilla.org/en-US/security/advisories/mfsa2013-01/

https://www.mozilla.org/en-US/security/advisories/mfsa2013-02/

https://www.mozilla.org/en-US/security/advisories/mfsa2013-04/

https://www.mozilla.org/en-US/security/advisories/mfsa2013-05/

https://www.mozilla.org/en-US/security/advisories/mfsa2013-09/

https://www.mozilla.org/en-US/security/advisories/mfsa2013-11/

https://www.mozilla.org/en-US/security/advisories/mfsa2013-12/

https://www.mozilla.org/en-US/security/advisories/mfsa2013-15/

https://www.mozilla.org/en-US/security/advisories/mfsa2013-16/

https://www.mozilla.org/en-US/security/advisories/mfsa2013-17/

https://www.mozilla.org/en-US/security/advisories/mfsa2013-20/

プラグインの詳細

深刻度: Critical

ID: 63546

ファイル名: macosx_thunderbird_10_0_12.nasl

バージョン: 1.19

タイプ: local

エージェント: macosx

公開日: 2013/1/15

更新日: 2019/12/4

依存関係: macosx_thunderbird_installed.nasl

リスク情報

CVSS スコアのソース: CVE-2013-0769

VPR

リスクファクター: Critical

スコア: 9.2

CVSS v2

リスクファクター: Critical

Base Score: 10

Temporal Score: 8.7

ベクトル: AV:N/AC:L/Au:N/C:C/I:C/A:C

現状ベクトル: E:H/RL:OF/RC:C

脆弱性情報

CPE: cpe:/a:mozilla:thunderbird

必要な KB アイテム: MacOSX/Thunderbird/Installed

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2013/1/8

脆弱性公開日: 2013/1/8

エクスプロイト可能

Core Impact

Metasploit (Firefox 17.0.1 Flash Privileged Code Injection)

参照情報

CVE: CVE-2013-0744, CVE-2013-0746, CVE-2013-0748, CVE-2013-0750, CVE-2013-0753, CVE-2013-0754, CVE-2013-0758, CVE-2013-0759, CVE-2013-0762, CVE-2013-0766, CVE-2013-0767, CVE-2013-0769

BID: 57193, 57194, 57195, 57203, 57209, 57217, 57218, 57228, 57232, 57234, 57235, 57238, 57258

CWE: 20, 74, 79, 442, 629, 711, 712, 722, 725, 750, 751, 800, 801, 809, 811, 864, 900, 928, 931, 990